Der EU AI Act (Verordnung 2024/1689) ist das erste umfassende KI-Gesetz der Welt. Er gilt in Stufen: verbotene Praktiken ab Februar 2025, GPAI-Regeln ab August 2025 und hochriskante KI-Pflichten ab Dezember 2027 (Anhang III) und August 2028 (Anhang I) nach den Omnibus-Änderungen von 2026.
Was ist der EU AI Act?
Der EU AI Act (Verordnung (EU) 2024/1689) ist das erste umfassende horizontale Rechtsrahmen der Welt für künstliche Intelligenz. Er trat am 1. August 2024 in Kraft und gilt progressiv über vier Risikostufen.
Das Gesetz verwendet einen risikobasierten Ansatz: Je höher der potenzielle Schaden, desto strenger die Pflichten. Es regelt nicht jede Software — nur Systeme, die als KI nach der Definition in Art. 3(1) und Anhang I qualifizieren, was maschinelles Lernen, logik- und wissensbasierte Ansätze und statistische Modelle umfasst.
Wer muss entsprechen?
Der AI Act gilt für vier Kategorien von Akteuren:
- Anbieter — Organisationen, die KI-Systeme oder KI-Modelle mit allgemeinem Verwendungszweck entwickeln und auf dem EU-Markt in Verkehr bringen oder in der EU in Betrieb nehmen
- Betreiber — Organisationen oder Einzelpersonen, die KI-Systeme in einem professionellen Kontext unter eigener Verantwortung verwenden
- Einführer — in der EU ansässige Unternehmen, die KI-Systeme aus Drittländern einführen
- Händler — Unternehmen in der Lieferkette, die weder Anbieter noch Einführer sind
Geografische Reichweite: Das Gesetz gilt immer dann, wenn der Output des KI-Systems in der EU verwendet wird, unabhängig vom Standort des Anbieters. Ein US-amerikanischer Anbieter, dessen KI von europäischen Unternehmen verwendet wird, fällt in den Anwendungsbereich.
Die vier Risikostufen
| Risikostufe | Anwendungsbereich | Wesentliche Regel |
|---|---|---|
| Inakzeptables Risiko | Manipulative KI, Social Scoring, biometrische Echtzeit-ID, Emotionserkennung am Arbeitsplatz | Verboten — Art. 5 |
| Hohes Risiko | Anhang III (eigenständig) und Anhang I (in regulierten Produkten eingebettet) | Konformitätsbewertung, QMS, CE-Kennzeichnung, Registrierung |
| Begrenztes Risiko | Chatbots, Deepfakes, KI-generierte Inhalte | Transparenzpflichten — Nutzer müssen informiert werden |
| Minimales Risiko | Spam-Filter, KI in Videospielen, Empfehlungssysteme | Keine obligatorischen Pflichten |
Anwendungszeitplan
| Pflicht | Gilt ab |
|---|---|
| Verbotene Praktiken (Art. 5) | 2. Februar 2025 |
| GPAI-Regeln — Kapitel 5 | 2. August 2025 |
| Verhaltenskodizes für GPAI | 2. August 2025 |
| Hochriskante KI — eigenständiger Anhang III | 2. Dezember 2027 (durch Omnibus 2026 verlängert) |
| Hochriskante KI — eingebetteter Anhang I | 2. August 2028 (durch Omnibus 2026 verlängert) |
Der Digital Omnibus 2026 zu KI verlängerte die beiden hochriskanten KI-Fristen um 16 bzw. 24 Monate, ohne die Pflichten selbst zu ändern.
Hochriskante KI-Systeme: Was löst vollständige Pflichten aus?
Ein KI-System ist nach Anhang III hochriskant, wenn es in einen dieser acht Bereiche fällt:
- Biometrische Identifizierung und Kategorisierung
- Verwaltung kritischer Infrastrukturen (Energie, Wasser, Verkehr)
- Allgemeine und berufliche Bildung (Zugangsentscheidungen, Benotung)
- Beschäftigung — Einstellung, Leistungsbewertung, Beförderungsentscheidungen
- Wesentliche private und öffentliche Dienste (Kreditwürdigkeitsprüfung, Versicherung, Notfalldienste)
- Strafverfolgung (Risikobewertung, Beweiswürdigung)
- Migration, Asyl, Grenzkontrolle
- Rechtspflege und demokratische Prozesse
Ein zusätzlicher Filter gilt (Art. 6(3)): Anhang-III-Systeme müssen ein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte darstellen. Risikoarme KI-Tools in diesen Sektoren können ausgenommen sein.
Wesentliche Compliance-Pflichten für Anbieter hochriskanter KI
- Risikomanagementsystem (Art. 9) — kontinuierlicher Prozess über den gesamten Lebenszyklus
- Daten-Governance (Art. 10) — Trainings-, Validierungs- und Testdatensätze müssen angemessen sein
- Technische Dokumentation (Art. 11 + Anhang IV) — vor der Inverkehrbringung
- Transparenz und Protokollierung (Art. 12–13) — automatische Protokollierung, Gebrauchsanweisungen
- Menschliche Aufsicht (Art. 14) — Maßnahmen, die Menschen die Überwachung und Eingreifen ermöglichen
- Genauigkeit, Robustheit, Cybersicherheit (Art. 15)
- Qualitätsmanagementsystem (Art. 17)
- Konformitätsbewertung (Art. 43) — Drittpartei für einige Kategorien
- EU-Datenbankregistrierung (Art. 71)
- CE-Kennzeichnung (Art. 48) vor der Inverkehrbringung
Konvergenz mit DORA und NIS2
Finanzinstitute stehen vor überlappenden Pflichten aus AI Act, DORA und NIS2. Das Risikomanagementsystem des AI Act (Art. 9) deckt sich eng mit dem IKT-Risikomanagementrahmen von DORA (Art. 5–16). Dual-Mapping-Dokumentation reduziert den Compliance-Aufwand. Siehe unsere Konvergenzanalyse →.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Der AI Act gilt in Stufen. Verbotene Praktiken (Art. 5): 2. Februar 2025. GPAI-Regeln: 2. August 2025. Eigenständige hochriskante KI-Systeme (Anhang III): 2. Dezember 2027 (durch den Omnibus 2026 verlängert). In regulierte Produkte eingebettete hochriskante KI (Anhang I): 2. August 2028.
Der AI Act gilt für Anbieter (die KI auf dem EU-Markt entwickeln oder in Verkehr bringen), Betreiber (die KI in professionellen Kontexten verwenden), Einführer und Händler. Er gilt immer dann, wenn der Output des KI-Systems in der EU verwendet wird, unabhängig davon, wo der Anbieter ansässig ist.
Bußgelder variieren je nach Verstoß: bis zu 35 Millionen € oder 7 % des weltweiten Jahresumsatzes für Verstöße gegen verbotene Praktiken; bis zu 15 Millionen € oder 3 % für die meisten anderen Verstöße; bis zu 7,5 Millionen € oder 1,5 % für die Übermittlung falscher Informationen.
Der AI Act und die DSGVO sind separate Verordnungen, die interagieren. Die DSGVO regelt die Verarbeitung personenbezogener Daten; der AI Act regelt KI-Systeme unabhängig davon, ob sie personenbezogene Daten verarbeiten. Viele hochriskante KI-Systeme, die personenbezogene Daten verarbeiten, müssen beide einhalten.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.